"PHP2Shell": Sicherheitslücken auf Verbraucherzentralen-Seiten geschlossen
Wegen kritischer Sicherheitslücken wurden am 21. Oktober viele Internetseiten abgeschaltet. Auch die der Verbraucherzentralen. Inzwischen haben wir sogenannte Patches, die die Lücken schließen sollen, installiert und sind wieder für Sie online.
Das Wichtigste in Kürze:
- Zwei Schwachstellen in der Programmiersprache PHP sind ein weltweites Problem für Internetseiten.
- Viele Betreiber haben am 21. Oktober ihre Angebote aus Sicherheitsgründen vorübergehend abgeschaltet.
- Die Seiten der Verbraucherzentralen haben bereits die Aktualisierungen durchgeführt, welche die Sicherheitslücken geschlossen haben sollten.
Was ist passiert?
Wer am Nachmittag des 21. Oktobers die Internetseiten von Behörden, Universitäten, Krankenhäusern, Kommunen oder mancher Unternehmen aufrufen wollte, bekam oft eine Fehlermeldung. Viele Betreiber hatten ihre Seiten abgeschaltet. Der Grund: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat vor zwei kritischen Schwachstellen innerhalb der Programmiersprache PHP gewarnt. Es sei möglich, dass Angreifer:innen ohne Authentifizierung schädlichen Code auf die Server der Internetseiten bringen könnten.
Gegen 16 Uhr deutscher Zeit haben die PHP-Entwickler:innen entsprechende Aktualisierungen zum Schließen der Sicherheitslücken bereitgestellt. Das BSI warnt ausdrücklich davor, Internetseiten mit PHP ohne diese Aktualisierungen weiter zu betreiben.
Auch die Seiten der Verbraucherzentralen verwenden PHP. Wir hatten sie deshalb am 21.10.2026 ebenfalls vorsichtshalber kurzfristig abgeschaltet. Kurz nach dem Veröffentlichen der Patches wurden diese installiert. Kurz vor 18 Uhr (21.10.2026) standen die Seiten der Verbraucherzentralen wieder zur Verfügung.
PHP wird weltweit für Internetseiten eingesetzt. Deshalb spricht das BSI von einer massiven weltweiten Bedrohung: "Mit Kenntnis derartiger Schwachstellen könnte es Angreifern gelingen, massive Angriffskampagnen durchzuführen und IT-Systeme aus den unterschiedlichsten Anwendungsbereichen zu kompromittieren."
Was bedeutet das für mich beim Surfen im Internet?
Es besteht kein direkter Handlungsbedarf fürs private Surfen im Internet. Die Sicherheitslücken befinden sich nicht auf den Geräten von Anwender:innen, sondern auf den Servern der Internetseiten. Wer eine Internetseite mit PHP betreibt, muss allerdings zügig handeln und sollte die Empfehlungen des BSI befolgen. Die Programmiersprache wird unter anderem bei WordPress, einem beliebten System für Blogger:innen und Betreiber:innen privater Internetseiten, eingesetzt.
Grundsätzlich gilt: Surfen Sie nicht ohne Virenschutzprogramm! Stellen Sie sicher, dass Ihr Virenschutz auf dem neuesten Stand ist und installieren Sie Updates möglichst sofort, wenn das Programm sie anbietet. Auch Ihr Betriebssystem (z. B. Windows, Linux, macOS, Android, iOS) sollte immer auf dem aktuellen Stand sein.
Welche Gefahren bestehen durch "PHP2Shell"?
Was ist eigentlich "PHP2Shell"? PHP2Shell ist der Name, den Sicherheitsforscher:innen den beiden Lücken gegeben haben.
Es bleibt abzuwarten, welche Angriffe auf nicht aktualisierte Internetseiten versucht werden. Denkbar ist zum Beispiel, dass personenbezogene Daten aus ungeschützten Online-Shops automatisiert gestohlen werden. BSI-Vizepräsident Thomas Caspers: "Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich: Angreifer können diese mittels KI-gestützter Werkzeuge innerhalb kurzer Zeit analysieren und entsprechende Exploits generieren."
